Axiosのメンテナーは、深刻度の高いセキュリティ脆弱性を複数公表しました。これらを悪用されると、攻撃者がサーバーサイドアプリケーションのプロキシやDNSの制御を回避し、内部サービスやクラウドのメタデータエンドポイントに対してサーバーサイドリクエストフォージェリ（SSRF）を仕掛けられる可能性があります。
最も深刻な問題はGHSA-3pq3-5fj3-cg6vとして追跡されており、AxiosのHTTP/2リクエストパスに影響します。HTTP/2アダプターは`http2.connect()`でセッションを確立する際、`options.http2Options`のみを使用します。そのため、カスタムDNSルックアップハンドラー、エージェント、プロキシ設定といったAxiosのトップレベル設定が無視されることが原因です。
CVE脆弱性データベース
この結果、開発者がプロキシ経由で監視、ルーティング、ブロックできると想定していたリクエストが、プロキシを経由せず接続先に直接届いてしまう場合があります。
Axiosの脆弱性
特に危険なのは、ユーザーが送信先URLに影響を与えられ、AxiosのHTTP/2サポートを有効にしたうえで、SSRF対策をプロキシやカスタムDNSリゾルバーに頼っているアプリケーションです。攻撃者は、内部ホスト名、プライベートIPアドレス、クラウドのメタデータサービスなどを狙ったURLを送り込む可能性があります。
アプリケーションの防御が、Axiosのプロキシルーティングや、機密性の高い宛先を拒否するカスタムルックアップ関数に依存している場合、HTTP/2の実行パスではこれらの制御を迂回して直接接続を確立してしまう恐れがあります。
Axiosのアドバイザリーによると、この脆弱性はAxiosをアウトバウンドHTTPクライアントとして使い、ライブラリの設定レイヤーでネットワーク制御を行っているサーバーサイドの環境に影響します。
悪用に成功されると、内部APIのレスポンス、クラウドインスタンスのメタデータ、認証情報、管理インターフェースなどが露出する恐れがあります。本来アクセスできないはずのサービスに対して、状態を変更するリクエストを送られる可能性もあります。
脆弱性追跡データによると、HTTP/2の問題はAxiosのバージョン1.13.0から1.20.0に影響し、バージョン1.20.0で修正されています。
このHTTP/2の脆弱性とあわせて、環境変数HTTP_PROXY、HTTPS_PROXY、NO_PROXYに基づくSSRF対策を弱めかねないプロキシ処理の問題も、複数公表されました。
関連するアドバイザリーのひとつ、GHSA-44g4-m2mj-wpvxは、AxiosがNO_PROXY内のCIDR形式のエントリを無視すると指摘しています。組織では、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16といったプライベートサブネット宛てのトラフィックをプロキシ経由にしないよう、CIDR形式のエントリを使うのが一般的です。Axiosがこうした除外指定を認識しないと、プロキシのルーティングポリシーや多層防御の戦略が損なわれかねません。
CVEの詳細
| CVE ID | 脆弱性 | 深刻度 | 影響を受けるバージョン |
|---|---|---|---|
| CVE-2026-101901 | HTTP/2のClientHttp2Session初期化時における未処理のerrorイベント |
高 | >= 1.13.0 |
| CVE-2026-101898 | HTTP/2アダプターによるカスタムDNSルックアップとプロキシ制御の回避 | 高 | >= 1.13.0 |
| CVE-2026-101909 | toFormDataオプションにおけるプロトタイプ汚染ガジェット |
高 | >= 0.28.0、>= 1.15.1 |
| CVE-2026-101906 | shouldBypassProxyのホスト名正規化におけるReDoS |
高 | 提供されたアドバイザリーデータには記載なし |
| CVE-2026-101903 | fromDataURIのdata: URLパーサーにおけるReDoS |
高 | >= 1.16.1 |
| CVE-2026-101907 | FetchアダプターがmaxRedirects: 0を無視する問題 |
高 | 1.17.0 |
| CVE-2026-101905 | Axiosのプロキシ／中継に関する問題 | 高 | 提供されたアドバイザリーデータには記載なし |
Axiosには以前にも、ホスト名の正規化やIPアドレスのエッジケースに関する欠陥がありました。たとえば、`localhost.`やブラケットで囲んだIPv6リテラルなど、ループバック宛先の不正な表記や別表記は、NO_PROXYの文字列比較をすり抜け、トラフィックを設定済みのプロキシ経由にしてしまう可能性がありました。
別の問題は、アドレス0.0.0.0の扱いに関するものです。Axiosのバージョン1.15.0から1.16.1では、NO_PROXYポリシーの評価時にこのアドレスをローカルとして扱わなかったと報告されています。
リクエストURLを制御できる攻撃者は、0.0.0.0を宛先に指定してリクエストを意図しない経路へ誘導できます。トラフィックを中継できるプロキシを介して、ローカルサービスが露出する可能性があります。
セキュリティチームは直ちに、Axiosをアウトバウンドリクエストに使用しているNode.jsアプリケーションの棚卸しを実施してください。とりわけ、ユーザーが指定したURLを取得するもの、Webhookを処理するもの、リモートコンテンツを描画するもの、クラウドサービスと連携するものは優先的に確認する必要があります。
セキュリティ意識向上トレーニング
今回の公表は、アウトバウンドリクエストのセキュリティに繰り返し現れるリスクを浮き彫りにしています。プロキシ設定とURL検証は、すべてのプロトコルアダプター、リダイレクト経路、DNS解決フロー、アドレス表記にわたって一貫して適用しなければなりません。
SOCのアラート調査を1件あたり21分短縮。即時のIOCコンテキストでSOCの迅速な対応を支援します。 TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/axios-flaws-let-attackers-bypass-proxy-controls-and-trigger-ssrf-attacks/
